Heimdall Security Logo

CVE-2026-8468

Vulnérabilité élevée dans plug (elixir-plug)

CVSS 8.2 · Élevée
EPSS 0.8%
elixir-plug•plug•Versions : <1.18.2, 1.17.0, c52b2f32c90bccd718202bafccb5f95594e30183, <1.15.4, <1.19.2, <1.16.3, 1.19.0, 1.4.0, <1.17.1, 1.16.0, <*, 1.18.0

Description

Allocation of Resources Without Limits or Throttling vulnerability in plug_project plug allows denial of service via unbounded buffer accumulation in multipart header parsing. 'Elixir.Plug.Conn':read_part_headers/2 in lib/plug/conn.ex does not obey its :length parameter. There is no upper bound on the size of the accumulated buffer. By contrast, the sibling function read_part_body has an explicit byte_size(acc) > length guard that stops accumulation once a limit is reached. No such guard exists in read_part_headers. An unauthenticated remote attacker can exhaust server memory by sending a crafted multipart/form-data request, causing a denial of service. This issue affects plug from 1.4.0 before 1.15.4, 1.16.3, 1.17.1, 1.18.2, and 1.19.2.

Gravité et risque d'exploitation

CVE-2026-8468 obtient un score CVSS de 8.2/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.85 %, ce qui la place devant 57.3 % des CVE référencées.

Que faire ?

  • Vérifiez si plug (versions <1.18.2, 1.17.0, c52b2f32c90bccd718202bafccb5f95594e30183, <1.15.4, <1.19.2, <1.16.3, 1.19.0, 1.4.0, <1.17.1, 1.16.0, <*, 1.18.0) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE